Transforming SQL Queries Bypasses WAF Security
2022/05/13 DarkReading — BLACK HAT ASIA 2022 – ある大学研究者のチームが基本的な機械学習を用いて、一般的な WAF には悪意のものとして検出されずに、攻撃者のペイロードを配信するパターンを特定したと、シンガポールで開催中の Black Hat Asia で発表した。中国浙江大学の研究者は、一般的な SQL を用いて、Web アプリケーションのデータベースを標的とした、インジェクション攻撃を変換する一般的な方法に着手した。
Continue reading “BLACK HAT ASIA 2022 での発表：SQL クエリーの変換により WAF バイパスが可能になる”Log4Shell Exploit Threatens Enterprise Data Lakes, AI Poisoning
2022/05/13 DarkReading — 人工知能 (AI) や機械学習 (ML) の導入が進み、企業のデータレイクは大容量化しているが、残念なことに、Java Log4Shell 脆弱性を介して悪用されやすいことが、研究者たちにより明らかにされている。一般的な組織は、プライバシー保護に配慮しながら、AI／ML アルゴリズムの学習用に可能な限り多くのデータポイントを取り込むことに注力しているが、データレイク自体のセキュリティ強化に手を抜いていることが、あまりにも多くなっているという。
Continue reading “Log4Shell 悪用と AI ポイズニング：企業のデータレイクに忍び寄る脅威とは？”Google Created ‘Open-Source Maintenance Crew’ to Help Secure Critical Projects
2022/05/13 TheHackerNews — 木曜日に Google は、重要なオープンソース・プロジェクトのセキュリティ強化のために、Open Source Maintenance Crew を創設したことを発表した。さらに Google は、パッケージと依存関係をグラフで分析するツールとして Open Source Insights を指摘し、それを使って「依存関係にある脆弱性が自身のコードに影響を及ぼす可能性の有無を判断する」ことを提案した。
Continue reading “Google がパッケージの依存関係をグラフで分析：Open-Source Maintenance Crew とは？”SonicWall ‘strongly urges’ admins to patch SSLVPN SMA1000 bugs
2022/05/13 BleepingComputer — SonicWall は、Secure Mobile Access (SMA) 1000 シリーズ製品群に存在する、攻撃者による認証回避が可能であり、パッチ未適用のアプライアンスを危険にさらす可能性のある、高リスクの脆弱性に対する修正を、顧客に対して強く推奨している。SonicWall SMA 1000 SSLVPN ソリューションは、オンプレミス／クラウド／ハイブリッドデータセンターの環境における、エンタープライズ・リソースへの安全な End-to-End リモートアクセスを簡素化するために使用される製品である。
Continue reading “SonicWall の警告：SSLVPN SMA1000 の脆弱性に対してパッチ適用を推奨”
IoT OT Security News 